Sızma Testi: saldırganın gözünden, kanıta dayalı.

Sızma testinin süresi test kapsamına, hedef sistem sayısına ve test türüne bağlı olarak değişir. Standart bir dış ağ sızma testi 1-2 hafta, kapsamlı bir web uygulama testi 2-3 hafta, iç ağ ve Active Directory güvenlik değerlendirmesi 2-4 hafta sürebilir. Kapsam belirleme toplantısında kesin zaman çizelgesi sunulur.

Düzenleyici gereksinimler (BDDK, PCI-DSS, EPDK) yılda en az bir kez sızma testi yapılmasını zorunlu tutar. Ancak en iyi uygulama olarak; büyük sistem değişikliklerinden sonra, yeni uygulama lansmanlarından önce, altyapı güncellemelerinden sonra ve önemli bir güvenlik olayı yaşandığında da test yaptırmanız tavsiye edilir. Yüksek risk profilli kurumlar yılda 2-4 kez test yaptırmalıdır.

Hayır. Tüm testler kontrollü ortamda, önceden belirlenen Rules of Engagement (test kuralları) çerçevesinde yürütülür. DoS/DDoS gibi servis kesintisine neden olabilecek testler yalnızca açık müşteri onayı ile ve genellikle bakım pencerelerinde gerçekleştirilir. Kritik üretim sistemleri için ek koruma protokolleri uygulanır. Test sırasında olağanüstü bir durum oluşursa anında müdahale edilir.

Zafiyet taraması otomatik araçlarla bilinen güvenlik açıklarını tespit eden bir süreçtir ve genellikle yüksek oranda false-positive üretir. Sızma testi ise uzman bir güvenlik araştırmacısının, tespit edilen zafiyetleri gerçekten istismar ederek iş etkisini kanıtladığı ve zafiyet taramalarının yakalayamadığı mantıksal hataları, yapılandırma sorunlarını ve saldırı zincirlerini ortaya çıkardığı kapsamlı bir güvenlik değerlendirmesidir.

Test sonrasında; yönetici özeti (Executive Summary), detaylı teknik rapor, CVSS v3.1 skorlarına göre önceliklendirilmiş zafiyet listesi, her zafiyet için Proof-of-Concept (PoC) kanıtları, risk matrisi, adım adım remediasyon rehberi, uyumluluk haritalama dokümanı ve saldırı yüzeyi haritası sunulur. Ayrıca düzeltmeler sonrası ücretsiz re-test ve karşılaştırmalı ilerleme raporu dahildir.

Fiyatlandırma; test kapsamı (IP/URL sayısı), test yaklaşımı (Black/White/Grey Box), uygulama karmaşıklığı, teknoloji yığını, uyumluluk gereksinimleri ve test süresi gibi faktörlere bağlıdır. Her proje için özel kapsam belirleme toplantısı yapılır ve detaylı teklif sunulur. Ücretsiz ön değerlendirme görüşmesi ile ihtiyaçlarınızı birlikte belirleyebiliriz.

Kritik ve yüksek risk seviyesindeki bulgular, raporun tamamlanmasını beklemeden anında müşteriye bildirilir. Kapsam belirleme aşamasında tanımlanan iletişim kanalları ve acil durum prosedürleri devreye girer. Bulgunun detaylı açıklaması, istismar senaryosu ve geçici çözüm önerileri derhal paylaşılır.

Test öncesinde; hedef sistemlerin IP aralıkları ve URL bilgileri, test ortamı erişim bilgileri (varsa), ağ diyagramları veya mimari dokümanlar (White/Grey Box için), yazılı yetki belgesi ve acil iletişim bilgileri hazırlanmalıdır. Kapsam belirleme toplantısında tüm gereksinimler detaylı şekilde aktarılır.

Türkiye'de sızma testi, kuruluşun tabi olduğu düzenleyici çerçeveye göre yükümlülük hâline gelir. Bankalar için BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği (Madde 18/7), yazılım geliştirmede görev almayan bağımsız ekiplerce yılda en az bir kez sızma testi yapılmasını arar. Sermaye piyasası kuruluşları, yürürlükteki SPK VII-128.10 Tebliği kapsamında yılda en az bir kez ulusal veya uluslararası belgeli bağımsız kişi/kuruluşça sızma testi yaptırır. Enerji sektöründe EPDK'nın 11956 sayılı Kurul Kararı, kapsamdaki EKS/OT (endüstriyel kontrol sistemleri) için güvenlik analizi ve testlerini düzenler. Kart verisi işleyen kuruluşlar ise PCI-DSS uyumluluğu gereği düzenli iç ve dış zafiyet taraması ve sızma testi yürütür. Kuruluşunuzun hangi regülatöre tabi olduğunu ve buna özgü kapsam/frekans detaylarını kapsam belirleme aşamasında birlikte netleştiririz.

Bunlar tek bir sızma testi disiplininin farklı kapsam alanlarıdır; ihtiyaca göre tek başına ya da birlikte yürütülür. Dış ağ testi internete açık varlıklarınızı, iç ağ testi ise ağ içine erişmiş bir saldırganın ilerleyişini (Active Directory, yanal hareket, yetki yükseltme) hedefler. Web ve API testi uygulama katmanı zafiyetlerine (kimlik doğrulama, yetkilendirme, iş mantığı, enjeksiyon), mobil test istemci uygulaması ve arka uç servislerine, bulut testi ise yapılandırma ve kimlik/erişim yönetimine odaklanır. Doğru kapsam; saldırı yüzeyinize, kritik varlıklarınıza, uyumluluk gereksinimlerinize ve tehdit modelinize göre belirlenir. Kapsam belirleme toplantısında hangi alanların önceliklendirileceğini ve tek bir angajmanda nasıl birleştirileceğini birlikte planlarız.